无法通过ARM模板和PowerShell从DevOps部署Azure资源组

权限验证 #

• 执行PowerShell命令确认服务主体的订阅级Contributor角色已生效：

  Get-AzRoleAssignment -ServicePrincipalName "<你的服务主体名称/应用ID>"
  

  确保输出中包含订阅范围的Contributor角色，且没有继承的拒绝策略（可在Azure门户订阅的IAM页面查看）。注意角色分配可能有15-30分钟的生效延迟。

服务连接与YAML配置检查 #

• 确认YAML管道中azureSubscription字段的值与DevOps中服务连接的显示名称完全一致（区分大小写），示例：

  - task: AzurePowerShell@5
    inputs:
      azureSubscription: '你的服务连接名称'
      ScriptType: 'FilePath'
      ScriptPath: './deploy.ps1'
  

• 检查服务连接的服务主体密钥是否未过期，可在Azure门户重新生成密钥并更新DevOps服务连接。

PowerShell脚本与ARM模板排查 #

• 验证ARM模板路径在管道中可访问：在脚本开头添加Get-ChildItem -Path "<模板路径>"，确认文件存在。
• 检查New-AzResourceGroupDeployment命令参数：
  • 若创建新资源组，需先执行New-AzResourceGroup -Name "<资源组名>" -Location "<区域>"并确保执行成功。
  • 确认-TemplateFile路径正确（管道中一般用相对路径，基于仓库根目录），必填模板参数是否全部传入（如-TemplateParameterObject或-TemplateParameterFile）。
• 查看错误日志中的具体信息：
  • 若为模板语法错误，根据日志中的行号定位ARM模板的JSON问题（如括号不匹配、属性名拼写错误）。
  • 若为参数错误，检查参数值类型是否匹配模板定义（如数字类型不能传字符串）。

上下文与环境验证 #

• 在脚本开头添加Get-AzContext，确认当前上下文的订阅ID、租户ID、服务主体身份与预期一致。
• 若使用自托管代理，检查代理服务器是否能正常访问Azure服务（无防火墙/代理拦截）；微软托管代理需确认部署区域与代理区域无网络限制。

资源组命名合规性 #

确认资源组名称符合Azure规则：长度1-90字符，只能包含字母、数字、-、_、.和(、)，不能以.或-开头/结尾。

内容的提问来源于stack exchange，提问作者Abhijit